Scalper-Bots kidnappen Behördentermine

Scalper-Bots sorgen bei der israelischen Regierung für Chaos, weil sie versuchen, den Zugang zu öffentlichen Diensten in eine Goldgrube zu verwandeln. Bots, auch bekannt als Webroboter, sind automatische Systeme, die auf die Ausführung bestimmter Funktionen programmiert sind.

Jetzt missbrauchen Scalper auch staatliche Dienste. Am 23. Juni berichteten Akamai-Forscher, dass Bots eingesetzt werden, um begehrte Termine bei israelischen Regierungsstellen zu ergattern. Leider sind diese Termine Gold wert, denn schätzungsweise 700.000 Bürgerinnen und Bürger versuchen, allein für die Erneuerung ihres Reisepasses einen Termin zu bekommen, ganz zu schweigen von der Nachfrage nach Terminen in den Bereichen Verkehr, Versorgungsunternehmen, Post und Sozialversicherung.

Scalper-Bots sind eine berüchtigte Gefahr für Käufer im digitalen Handel rund um den Globus. Ob Spielkonsolen, gehypte Turnschuhe, Sammlerstücke oder Grafikkarten – jeder Artikel, der nur in begrenzter Auflage erhältlich ist, ist ein Ziel für Scalper, die durch den Weiterverkauf an technisch weniger gut ausgerüstete Verbraucher profitieren.

In Israel ist jedoch ein bedrohlicher neuer Skalpierungsmarkt entstanden – für staatliche Dienstleistungen. Anstatt mit deutlich über dem Nennwert liegenden Konzertkarten abgezockt zu werden, werden die Israelis bei Dienstleistungen des täglichen Lebens regelrecht über den Tisch gezogen. Dieser Skalpierungsmarkt hat das Potenzial, wesentlich mehr Schaden anzurichten als die Möglichkeit, nicht in den Urlaub fahren zu können.

Nicht alle Bots sind schlecht: Einige indexieren Webinhalte, andere bieten Chat-Funktionen für Geschäftskunden, und Sie werden vielleicht auf Bots stoßen, die nach den besten Produktangeboten für Sie suchen. Die so genannten bösen Bots können jedoch auch so programmiert sein, dass sie Brute-Force-Angriffe durchführen, Webdienste stören und vieles mehr.

Scalper fallen in die zweite Kategorie. Obwohl sie in der Regel nicht gefährlich sind, durchforsten Scalper Online-Dienste, um Produkte viel schneller zu buchen und zu kaufen, als es ein Mensch könnte. Scalper haben es auf stark nachgefragte Konzertkarten, Spielkonsolen und andere Produkte abgesehen, die sie gewinnbringend weiterverkaufen können.

Den Forschern zufolge wurden zahlreiche Bots auf MyVisit, einer Plattform für die Auswahl und Buchung von Terminen, trainiert. Der erste Bot, der im Umlauf ist, wurde von einer Gruppe wohlmeinender Entwickler kostenlos der Öffentlichkeit zugänglich gemacht. Unter dem Namen GamkenBot konnte der Bot von jedem genutzt werden, der bereit war, seinen bevorzugten Terminort und seine Kontaktinformationen anzugeben.

Doch schon bald tauchten profitorientierte Scalper-Varianten auf, und es wurden Bots entwickelt, die neben einer Vielzahl anderer Behördendienste auch Termine für Pässe abgreifen. Statt jeden Morgen um 7 Uhr aufzustehen und zu hoffen, einen Termin zu ergattern, und manchmal monatelang zu warten, bevor sie erfolgreich sind, stehen die Bürger an zweiter Stelle hinter Scalp-Bots, die automatisch die über MyVisit freigegebenen Termine scannen und abgreifen. Die Betreiber verkaufen sie dann für über 100 Dollar pro Stück weiter – obwohl sie eigentlich kostenlos sein sollten.

Die Betreiber behaupten zwar, dass sie eine Dienstleistung erbringen, aber wie die Forscher feststellen, haben die Scalper-Bots eine staatliche Dienstleistung, für die die Bürger bereits durch Steuern zahlen, in eine gehandelte Ware verwandelt.

MyVisit ist nicht blind gegenüber Scalping-Aktivitäten und hat versucht, die Bots durch die Einführung von CAPTCHAs zu stoppen. Es dauerte jedoch nur wenige Tage, bis dieses System umgangen werden konnte. Das Problem ist, dass die heutigen Bots es vermeiden, blockiert zu werden, indem sie menschliches Verhalten und menschliche Interaktionen imitieren. Daher reicht eine CAPTCHA-Barriere nicht aus, und die Bots können weiter davon profitieren.

„Um die modernen Bots von heute zu besiegen, werden von den Bot-Management-Produkten viel fortschrittlichere Maßnahmen eingesetzt“, so Akamai. „Device Fingerprinting und Verhaltensanalysen werden mit maschinellen Lernmodellen kombiniert, die täglich mit Milliarden von Anfragen gefüttert werden, um Trends und Anomalien zu erkennen. Jeder Anti-Bot-Schutz kann von einem Bedrohungsakteur mit genügend Motivation und Ressourcen überwunden werden, zumindest in kleinem Maßstab. Die Latte sollte jedoch so hoch wie möglich gelegt werden, und wir müssen sie immer höher legen.“